В много индустриални предприятия по света производствени линии на стойност милиони долари продължават да функционират върху остарели операционни системи и технологии. Причината е проста – никой не иска да поеме риска от спиране на производството. Но тази стратегия постепенно се превръща в сериозна уязвимост.
В един реален случай при осигуряване на сигурността на производствена линия, част от системата за управление е работела на Windows XP, поставена буквално под лабораторна маса – в непосредствена близост до модерно фармацевтично производство, което ежедневно генерира милиони приходи. Всички са били наясно, че системата представлява риск, но никой не е желаел да я промени, докато „все още работи“.
Тази комбинация от технически дълг, оперативен натиск и регулаторни изисквания превръща остарелите системи за оперативни технологии (OT) в своеобразна „бомба със закъснител“, особено в секторите енергетика и фармацевтика.
При почти всяка оценка на сигурността на индустриални системи се наблюдава сходна картина:
В IT средата се говори за Zero Trust, XDR и ИИ анализ в SOC центровете.
В OT средата обаче често се използват операционни системи без поддръжка, остарели индустриални протоколи и т.нар. „air gap“ изолация, която отдавна е компрометирана чрез дистанционен достъп и интеграции.
Типичните проблеми включват:
използване на системи като Windows XP или Windows 7 без актуализации за сигурност;
индустриални протоколи като Modbus или стари версии на PROFINET, които първоначално не са били проектирани с механизми за удостоверяване или криптиране;
интеграция между IT и OT чрез MES системи, дистанционна поддръжка и облачни връзки.
Това създава директни пътища за атакуващите от офисната мрежа към индустриалните контролни системи.
Редица инциденти доказват този риск:
Stuxnet
Triton
атаката с рансъмуер срещу Colonial Pipeline
Тези случаи вече са класически примери в общността по OT сигурност, защото демонстрират механизми, които съществуват в много реални индустриални инфраструктури.
При разговори с инженери, мениджъри на производството и OT специалисти рядко се чува „Не знаехме, че има проблем“. Много по-често реакцията е:
„Знаем, че е критично – но не можем просто да спрем производството.“
Основните пречки обикновено са три.
В непрекъснато производство (24/7) всяко планирано спиране означава директни финансови загуби. Затова модернизацията на системите често се отлага „до следващия голям ремонт“, който понякога не се случва години.
OT екипите традиционно мислят в категории като физическа безопасност, стабилност и детерминираност на процесите, а не в термини като zero-day уязвимости.
От друга страна IT специалистите често подценяват колко чувствителни са индустриалните процеси и как едно агресивно сканиране за уязвимости може да спре производство.
В много организации остава неясно кой носи стратегическата отговорност за OT сигурността:
CISO
COO
инженерните екипи
ръководството на конкретния обект
Междувременно новите регулации започват директно да ангажират управлението с отговорност за киберрисковете.
Съвременните атаки срещу индустриални организации често следват сходен сценарий.
Атакуващите проникват първо в корпоративната мрежа чрез:
фишинг
уязвими уеб приложения
компрометирани VPN акаунти
В случая с Colonial Pipeline достъпът е бил получен чрез компрометиран VPN акаунт без многофакторна автентикация.
След проникване в IT средата атакуващите търсят пътища към индустриалната мрежа чрез:
системи за исторически данни
дистанционен достъп
недостатъчно сегментирани мрежи
Липсата на архитектура zones & conduits по стандарта IEC 62443 значително улеснява този процес.
В OT средата атакуващите често попадат на:
неподдържани операционни системи
липса на централизирано наблюдение
отсъствие на интеграция със SIEM или SOC
Това позволява манипулиране на контролна логика или криптиране на системи, преди да бъдат засечени аномалии.
В енергетиката компрометирана контролна система може да доведе до:
нестабилност в електропреносната мрежа
прекъсване на доставките
каскадни инфраструктурни ефекти
Във фармацевтичната индустрия последиците могат да включват:
прекъсване на производството
проблеми с качеството
нарушения на GMP изискванията
Парадоксът е, че именно GMP валидираните системи често остават непроменени най-дълго, защото всяка промяна изисква нова регулаторна валидация.
Практиката показва, че решението не е пълна подмяна на инфраструктурата наведнъж. По-ефективен подход е поетапно управление на риска.
Първата стъпка е ясна видимост върху:
критичните системи
остарелите компоненти
интерфейсите между IT и OT
Изграждане на архитектура съгласно IEC 62443 чрез:
индустриални DMZ зони
OT firewalls
защитени точки за дистанционен достъп
Класическите IT инструменти не разбират индустриални протоколи. Необходимо е внедряване на решения за:
мониторинг на PLC промени
аномалии в комуникацията
необичайни процесни параметри
Стандарти като:
ISO/IEC 27001
IEC 62443
могат да бъдат използвани като основа за стратегическа програма за сигурност.
Когато подмяната на системите не е възможна веднага, могат да се приложат компенсиращи мерки:
контролирани jump hosts
whitelisting
протоколни шлюзове
физическа защита
Няколко тенденции увеличават натиска върху индустриалните компании:
застрахователите започват да оценяват киберрисковете по-строго;
регулаторите изискват доказуемо управление на риска;
атаките срещу критична инфраструктура стават все по-чести.
Днес въпросът вече не е дали остарелите OT системи представляват риск.
Истинският въпрос е:
дали организациите ще предприемат действия преди следващият инцидент да ги принуди.